Mejores prácticas de seguridad Web3: Parte 4

Armado con el conocimiento previo de estos actos sucios (todos los cuales se utilizan tanto contra novatos como contra veteranos experimentados), tendrás muchas más posibilidades de detectar estas desagradables trampas a primera vista y, con suerte, así evitarlas por completo.

Puedes ponerte al día Seguridad Web3, Parte 1, Seguridad Web3, Parte 2 y Seguridad Web3, Parte 3 a través de los enlaces resaltados.

Sitios web falsos (estafas tradicionales)

Hay muchas versiones falsas de “sitios web Web3 visitados habitualmente”. Puede detectarlos examinando cuidadosamente TANTO la extensión del dominio como la URL del dominio que está visitando. Por ejemplo, la URL oficial de ENS Vision es ens.vision/tools, y hay muchas formas en que puede presentarse una versión fraudulenta de la URL: 

1. puede utilizar un TLD diferente (IE .xyz, en sustitución del TLD '.vision'), o
2. puede utilizar un TLD diferente CON subdominio (IE ens.vision.com/tools, que utiliza el TLD '.com'), o
3. puede utilizar un número en el nombre de la página (es decir: “/t00Is” utiliza el número '00', en lugar de las letras 'oo'), o
4. puede utilizar una letra mayúscula en el nombre de la página (Es decir: “/tooIs” utiliza una letra mayúscula 'i', en lugar de la letra 'L').  

Estos sitios falsos pueden tener un mensaje MetaMask falso donde le pedirán su contraseña o frase inicial en la etapa de "conectar billetera". Sin embargo, como esta no es su extensión MetaMask genuina, todos los intentos de contraseña fallarán y se le pedirá que recupere su billetera escribiendo su frase inicial. Como sabemos, nunca aceptamos la solicitud de escribir nuestras frases iniciales.

Sin embargo, también es posible que el El aviso de MetaMask es real y el sitio web fraudulento lo engañará para que les autorice a tener acceso a su billetera. Esto pondría en riesgo su billetera, incluso si está utilizando una billetera de hardware.

Enlaces a sitios web enviados a través de mensajes directos

Una táctica común de los estafadores es enviar mensajes masivos a los miembros del servidor, a menudo haciéndose pasar por el proyecto en sí, diciendo que ha ganado un lugar en la lista blanca con ellos. Adjuntarán un enlace a su sitio web fraudulento, que a menudo parecerá muy legítimo en apariencia, y le indicarán que debe reclamar allí. Hay muchas encarnaciones, pero algunos estafadores se harán pasar por alguien en quien puedes confiar y luego intentarán engañarte para que hagas clic en el enlace a su sitio fraudulento.. En realidad, si conecta su billetera con ese sitio web fraudulento y firma una transacción a través de su MetaMask después de seguir ese enlace, probablemente será una transacción de 'Establecer aprobación para todos' que permitirá al estafador mover cualquiera o todos. de sus activos, desde su billetera hasta su propia billetera de estafador.

La estricta regla de “No haga clic en enlaces” enviado a través de Discord/Twitter DM (o desde cualquier persona, en cualquier lugar), que lo protegerá la mayor parte del tiempo. De todos modos, siempre verifique la extensión del dominio y el nombre de dominio completo de la URL, y cualquiera de los enlaces que aparezcan en su pantalla (Ver ejemplos arriba). En verdad, si eres nuevo en Web3, es recomendable simplemente "Mantenga los mensajes directos de Discord apagados”Hasta que te hayas recuperado un poco.

Servidores de Discord pirateados o estafados

Desafortunadamente, la cultura de FOMO (miedo de perderse) y los lanzamientos publicitados han contribuido a que las personas ignoren temporalmente las medidas de seguridad y paguen el precio por ello. Si se piratea un Discord, una señal reveladora es que los canales de chat se han bloqueado (es decir: no puedes enviar un mensaje en las áreas generales del servidor).

Además, si el canal de anuncios ofrece un sorteo "sorpresa" o un sorteo (a menudo copiando y pegando el mismo mensaje repetidamente), entonces esta es una gran señal de alerta que le indica que se mantenga alejado y alerte a todos sus conocidos de que Discord está comprometido. Al igual que en el ejemplo de Discord DM, los piratas informáticos enviarán un enlace falso con las mismas consecuencias de que su billetera se quede sin activos, en caso de que continúe.

Nunca entres con FOMO y siempre verifica dos veces en qué estás haciendo clic. De nuevo, "Siempre revisa Los enlaces” que aparece vas a hacer clic (Ver ejemplos arriba). Si es un proyecto legítimo y lo pierdes, siempre habrá otra oportunidad. Solo se necesita un error para terminar con todo, y no vale la pena correr el riesgo, pero puedes mitigar el riesgo si “No conecte sus billeteras 'VAULT'”a Discord o a cualquier sitio web.

Ingeniería social

Podría decirse que la ingeniería social es la causa número uno de activos robados en el espacio Web3. Tanto es así, que probablemente requiera su propio artículo específico. Podrías tener cinco libros de contabilidad almacenados en una caja fuerte a prueba de fuego, con sus frases iniciales protegidas por guardias armados y colocados en diferentes lugares del mundo, y aún así, eso no te salvaría de una estafa de ingeniería social.

El enfoque más común utilizado por los estafadores es pedirle que intercambie un activo en un acuerdo privado, en el que se produce uno o más de los siguientes casos:

• Ser abordado en un DM de Discord por un usuario desconocido para realizar un intercambio.
  • No todos los casos en los que esto sucede son una estafa, pero la inmensa mayoría lo es.
  • Es aconsejable comprobar el historial de publicaciones de un usuario en el servidor antes de participar.
    • Puedes hacerlo escribiendo 'from:username' en la barra de búsqueda del servidor.
    • Una señal de alerta sería si no se devuelven resultados.
  • Si hay muchos mensajes, no lo tomes como una luz verde; en su lugar, pregunta dentro del servidor si alguien puede responder por ese usuario.
    • Si son legítimos, es probable que alguien haya interactuado o comerciado con ellos anteriormente.
• Hacerse pasar por moderadores/propietarios de proyectos.
  • Más recientemente, los estafadores han estado buscando en servidores los ID de Discord de miembros acreditados de la comunidad, replicándolos estéticamente a través de la imagen/nombre mostrado y usando su influencia para ganarse la confianza automática de la víctima.
    • Luego comienzan a acercarse a los miembros del servidor con otra cuenta que buscan realizar un intercambio y utilizan la cuenta del imitador para actuar como intermediario en el trato.
  • Los moderadores/fundadores de proyectos generalmente nunca se comunicarán con usted a través de DM, mucho menos participarán en actividades comerciales privadas.
    • Si terminas en un DM grupal con uno y se está discutiendo el intercambio, es 99% probable que estés hablando con una identificación falsa de esas personas de confianza.
      
• Prestar o prestar su criptografía o NFT a alguien.
  • Lamentablemente, incluso las personas con las que se ha vuelto cercano en el espacio pueden actuar fuera de lugar y traicionar su confianza.
    • Un ejemplo reciente del que fui testigo: un miembro confiable de una comunidad se ofreció a actuar como intermediario en un acuerdo de intercambio privado.
    • Debían conservar ambos activos y luego distribuir los fondos/activos en consecuencia una vez que ambos fueran recibidos del comprador y del vendedor.
    • Desapareció poco después de llevarse todo consigo. Si no fuera porque el estafador fue tan descuidado al vincular su huella digital con su identificación real, nunca habría devuelto los artículos robados, y esto fue solo después de que otros miembros de la comunidad ejercieron una avalancha de presión para rastrearlo. .
  • Se trataba de una persona que conocía a su víctima desde hacía casi un año; Por muy triste que sea decirlo, la mejor manera de evitar esto es, en primer lugar, nunca involucrarse en tal escenario.
    • Como tal, esa regla se puede aplicar a todas las situaciones anteriores: Sea naturalmente paranoico cuando sus activos estén en juego.
• Se le pide que establezca el precio en $0.
  • Por razones que se explican por sí mismas, esto nunca es una gran idea.
  • El estafador se comprometerá a hacer lo mismo para realizar un intercambio directo de activo por activo sin fondos líquidos involucrados.
  • Por supuesto, el estafador no cumplirá su promesa.
• Otras nuevas redes sociales Ingeniería estafas
  • Siempre habrá nuevas estafas de ingeniería social que buscarán aprovecharse del conocimiento y las emociones de los usuarios.
  • Siempre implicará que alguien se haga pasar por alguien en quien usted confía o que cree una historia para que usted confíe en él.
    • Por lo general, jugará con sus emociones, como su: compasión y empatía, o FOMO y avaricia.
  • Es importante permanecer siempre alerta. Con la llegada de los vídeos ultrafalsos, nunca se es demasiado cuidadoso.

Hackers utilizados #Deepfake
[de Binance CCO] para estafar.
Espere ver esto en todas partes.
Hay una versión de 'próxima generación' de estafas/estafadores;
Buscan atacar a usuarios individuales, a escala.
Autocustodia tus llaves + Conciencia de vectores de ataque. #Web3 #SIWE #ENS $ENS https://t.co/BfuAMUV7EU

- GaryPalmerJr.eth 👁 2223.eth 🐇 (@garypalmerjr) 31 de agosto de 2022

Correos electrónicos fraudulentos y de phishing

Si tiene su dirección de correo electrónico vinculada a su Mar abierto cuenta, tenga cuidado con cualquier correo electrónico que supuestamente provenga de ellos.

En junio de este año, OpenSea tuvo una filtración en la base de datos de direcciones de correo electrónico donde un empleado de uno de sus proveedores hizo un mal uso de su acceso para descargar y compartir las direcciones de los usuarios de OpenSea con un tercero no autorizado.

FUGA DE DATOS OpenSea. Acabo de recibir este correo electrónico del sistema operativo. Así que tenga cuidado si recibe comunicaciones de personas que se hacen pasar por personal de OpenSea. 🙏🚨 pic.twitter.com/QP6erbE7xj

— jackasscrypto.ethᵍᵐ (@crypto_jackass) 30 de junio de 2022

Teniendo esto en cuenta, es casi seguro que los afectados recibirán correos electrónicos de phishing durante algún tiempo. Si alguna vez recibe un correo electrónico de OpenSea, verifique nuevamente el remitente y asegúrese de que provenga del buzón de correo oficial de OpenSea. Un correo electrónico fraudulento redireccionará a un sitio web falso. Mitigo esto simplemente nunca haciendo clic en nada dentro de un correo electrónico de OpenSea. ¡Nunca podrán atraparme de esta manera!

Contratos maliciosos y lanzamientos aéreos

Un contrato malicioso tiene un código escrito que le otorgará al estafador (que es el propietario del acceso a ese contrato) acceso para vaciar su billetera de fondos y activos.

Si no sabe leer contratos Web3, la mejor manera de evitar este problema es pedirle a alguien que lo examine para detectar posibles problemas. Alternativamente, aunque no es una opción perfecta, es esperar a ver cómo afecta a otros después de usarlo. De nuevo, evitar FOMO porque ahí es donde se cometen muchos errores, especialmente con contratos de desarrolladores desconocidos o que no provienen de una fuente de gran reputación.

Los estafadores son personas implacablemente emprendedoras y Los estafadores se han diversificado y lanzan Scam-NFT desde el aire a billeteras Web3.

Se dirigen principalmente a carteras que albergan proyectos de alto valor, como BAYC, pero cualquiera puede ser el objetivo. A pesar de que las obras de arte en estos lanzamientos aéreos suelen ser “feas”, lo cual ya es bastante malo en sí mismo, pero al interactuar con estos NFT fraudulentos (es decir, intentar venderlos o moverlos a otra billetera) significará que estás interactuando con un contrato malicioso, lo que podría hacer que usted arriesgue todos sus activos para que le roben.

Un tema común reciente es que un estafador lanzará el NFT por aire y luego hará una gran oferta WETH por él. Esto es para tentar a las víctimas potenciales a aceptar la oferta y así interactuar con el contrato malicioso. Es una pérdida de tiempo y un riesgo, ya que la oferta WETH nunca podrá completarse, incluso si se acepta, por lo que es una tarea totalmente infructuosa y arriesgada.

Malware, registro de teclas y protección

Como se mencionó anteriormente, esté muy atento a las descargas que realiza, específicamente si se originan en mensajes directos de Twitter o Discord. A menos que conozca y confíe en la persona con la que está interactuando, descargar un enlace a través de un DM no solicitado tiene una terrible tasa de riesgo-recompensa.

Una vez instaladas en su dispositivo, estas descargas malévolas a veces pueden otorgarle a un hacker acceso remoto a su PC o instalar malware. En ese sentido y como se menciona en la Parte 1, comprar algún software confiable como MalwareBytes es una buena inversión y está considerado como el mejor software de protección antivirus por un precio muy asequible de $30 al año.

Descargar una versión no confiable de un programa, como LedgerLive, lo engañará y le dará una falsa sensación de seguridad al escribir sus frases iniciales en él. Además, estas versiones falsas de programas tienen la capacidad de instalar malware en su dispositivo. Siempre verifique que la fuente de la descarga sea legítima siguiendo los consejos brindados en la Parte 1 en "Sea selectivo con las extensiones de su navegador". viñeta.

En conclusión

Con esto concluye la serie sobre Mejores prácticas de seguridad Web3. ¡Con suerte, estos consejos básicos lo ayudarán a embarcarse en un viaje seguro y altamente próspero hacia Web3!

Recuerde, ser seguro y cuidadoso siempre requerirá más tiempo y esfuerzo, pero vale la pena hacerlo. Sólo hace falta un error para acabar con años de arduo trabajo.

¡Cuidarse!